LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

業務委託で加わってもらう外部のエンジニアに、社員と同じセキュリティ教育を受けてもらいたい。ところが、外部の人に受講を求めてよいのか、研修の時間に報酬を払うのか、頼み方しだいで偽装請負に見えないかと、迷う点がいくつも出てきます。

本記事では、発注する企業の担当者が迷いやすい10の問いを、個人情報保護委員会とIPAのガイドライン、厚生労働省の37号告示と疑義応答集をもとにQ&Aの形で整理します。各問いには答えの要点と判断の根拠を添え、資料に直接の答えがない点は「本記事の整理」と書き分けています。

業務委託の研修で迷う点

業務委託で開発に加わってもらう外部のエンジニアにも、社員と同じセキュリティ教育や社内ルールの研修を受けてもらいたい。そう考えたとき、外部の人に研修への出席を求めてよいのか、研修の時間や費用は誰が持つのか、頼み方しだいで偽装請負に見えないかと、迷う点がいくつも出てきます。

迷う点は、受講を求められる範囲、指揮命令にならない頼み方、研修の時間と費用、受講の記録の4つに分かれます。次の表で、自社の疑問がどの問いに当たるかを確かめてから、該当するQ&Aを読んでください。

本記事は、金融機関に限らない一般の企業が、受託会社を通して業務委託のエンジニアを受け入れる場面を中心に整理します。金融機関の委託先監督に固有の研修と権限は業務委託エンジニアの情報セキュリティ、金融機関の委託先監督の基本で、受け入れ時の手続きは業務委託エンジニアの受け入れで決める5つの手続きで扱っています。個人のフリーランスと直接契約する場合も、研修の目的と範囲、時間と費用の扱いを契約に書いておく点は同じです（本記事の整理）。

受講を求められる範囲のQ&A

最初に押さえたいのは、研修を求める理由が自社の情報を守ることにある、という点です。社外秘の情報や個人データを任せるなら、任せる相手にも自社と同じ水準の対策を求めることになり、研修はその対策の1つに当たります。

Q1. 業務委託のエンジニアに自社のセキュリティ研修を受けてもらってよいですか

• 答えの要点：IPAのガイドラインは、経営陣を含むすべての役職員や社外要員に対して、セキュリティの意識向上のための教育・研修を行うよう勧めています。社外の人に研修を受けてもらうこと自体は、対策として想定されています。気をつけるのは、頼み方が発注側の指揮命令にならないようにすることです（Q4〜Q6）。
• 判断の根拠：IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版」第2部 3.（5）⑤意識向上とトレーニング^*2

Q2. 受講を求められるのはどんな範囲ですか

• 答えの要点：任せる業務で扱う情報と、使う建物やシステムに関わる範囲が中心です。IPAのガイドラインは、業務の一部を委託する場合は委託先でも少なくとも自社と同等の対策が行われるようにし、契約書に委託先の責任や実施すべき対策を明記して合意する必要があるとしています。研修もこの対策の1つとして契約に書いておくと、求める範囲を後から説明できます（本記事の整理）。
• 判断の根拠：IPA 同ガイドライン 第1部（2）重要7項目の取組 取組6^*2
• 範囲の目安は次の表のとおりです。

Q3. 個人データを扱う作業を任せるときは研修が要りますか

• 答えの要点：個人情報保護委員会のガイドラインは、個人データの取扱いを委託するときは、委託先で自社と同等の安全管理措置が講じられるよう監督することを求めています。委託先を選ぶ段階で、安全管理措置の各項目が確実に実施されることをあらかじめ確認しなければなりません。その項目の1つが従業者の教育で、手法の例に定期的な研修等が挙げられています。
• 判断の根拠：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」3-4-4（1）・10-4^*1
• 受託会社が自社の社員に教育を行っているかを確かめるのが監督の形で、発注側が自ら研修を行うかどうかは確かめ方の1つとして契約で決めます（本記事の整理）。

指揮命令にならない頼み方のQ&A

受託会社を通して契約しているエンジニアに、発注側から直接、作業の指示は出せません。請負か労働者派遣かは契約の形ではなく実態で判断され、準委任契約でも同じです。^*7 研修も、頼み方によっては発注側の指揮命令に見えます。

Q4. 発注側が直接研修を行うと偽装請負になりますか

• 答えの要点：37号告示の疑義応答集は、発注者が受託会社の働く人に行う技術指導のうち、新しく借りた設備の操作方法の説明や、仕様の補足的な説明を、受託会社の監督の下で受けさせる場合などは、それをもって偽装請負と判断されるものではないとしています。システム開発を請け負う場合にもこの考え方が当てはまると、厚生労働省は示しています。
• 判断の根拠：疑義応答集 第1集 Q10^*4、厚生労働省 事務連絡（令和3年5月13日）^*5
• 自社の情報の扱い方やシステムの使い方の説明も、受託会社の責任者の監督の下で受けてもらう形にそろえます（本記事の整理）。

Q5. 自社の社内ルールを守ってもらうのは指揮命令になりますか

• 答えの要点：受託会社は、自社の就業規則や服務規律に基づいて働く人に指示を出す必要があります。ただし、施設の管理や安全衛生の管理の必要など合理的な理由があって、結果的に発注者と同じ服務規律になっても、それのみをもって直ちに労働者派遣とは判断されないとされています。
• 判断の根拠：37号告示 第2条第1号ハ^*3、疑義応答集 第2集 Q11（厚生労働省「労働者派遣・請負を適正に行うためのガイド」所収）^*6

Q6. 研修の日時や出欠の連絡は本人に直接送ってよいですか

• 答えの要点：依頼メールを、受託会社の管理責任者の了解の下で働く人にもccで送ったことのみでは、直ちに労働者派遣とは判断されないとされています。ただし、作業の順序や割り振りの詳細な指示が含まれていたり、発注者から働く人に直接返信を求めたりする場合は、労働者派遣と判断されます。打ち合わせへの同席も、管理責任者自身の判断で同席させるなら、それのみで労働者派遣とは判断されません。
• 判断の根拠：疑義応答集 第2集 Q9・Q10（同ガイド所収）^*6
• 研修の案内は受託会社の管理責任者あてに送り、出欠の返事も管理責任者から受け取ります（本記事の整理）。

研修の頼み方で決めることを、契約の前・研修の当日・研修の後の3つの時期に分けると、次の図のとおりです（本記事の整理）。

アジャイル型開発の疑義応答集は、発注側と受託側の担当者が対等な関係で協働し、受託側の担当者が自律的に開発を進めるという特徴の認識を共有するため、双方の担当者への事前研修などを行うことが重要としています。^*7 研修は、指揮命令が生じない進め方を双方で確かめる場にもなります。

研修の時間と費用と記録のQ&A

研修に使う時間と費用は、誰の負担にするかを契約で決めておかないと、請求の段階で食い違いやすい点です。本記事で確かめた資料には、業務委託の研修の時間を報酬の対象にするかどうかを直接定めた規定は見当たりませんでした（本記事の整理）。

Q7. 研修の時間に報酬は払いますか

• 答えの要点：決めるのは契約です。稼働時間で精算する準委任契約なら、研修の時間を稼働に含めるかを契約に書きます。成果物に対して支払う請負契約なら、研修を業務の前提として契約の金額に含めるかを決めます（本記事の整理）。研修の日時は受託会社の管理責任者と調整し、働く人の始業・終業や休憩の管理は受託会社が自ら行う形を崩さないようにします。
• 判断の根拠：37号告示 第2条第1号ロ（労働時間等に関する指示その他の管理を自ら行うこと）^*3

Q8. 研修の費用は誰が負担しますか

• 答えの要点：37号告示は、受託会社が業務の処理に要する資金をすべて自らの責任の下に調達し支弁することを、請負と認められる要件の1つにしています。受託会社の社員教育の費用は受託会社が持つのが基本で、発注側の求めで自社固有のルールの研修を行うなら、会場や教材の費用をどちらが持つかを契約で決めておきます（本記事の整理）。
• 判断の根拠：37号告示 第2条第2号イ^*3

Q9. 受講の記録は残すべきですか

• 答えの要点：IPAのガイドラインは、意識向上の教育・研修の実施記録を保管し、理解度と受講状況の評価結果を踏まえて内容を見直すよう勧めています。事故対応の教育・訓練も、実施状況を記録し保管するよう定めるとしています。社外の人の受講も同じ記録に入れておくと、委託先の取扱状況を把握するときの材料になります（本記事の整理）。
• 判断の根拠：IPA 同ガイドライン 第2部 3.（5）⑤^*2、個人情報保護委員会 同ガイドライン 3-4-4（3）^*1

Q10. 研修のあとに誓約書を求めてよいですか

• 答えの要点：疑義応答集は、受託会社が働く人を自ら決めている限り、情報漏洩の防止のために、働く人が受託会社あてに出した誓約書の写しを求めても、それのみで労働者派遣とは判断されないとしています。一方、職務経歴書を求めたり事前面談をしたりすると、配置の決定に影響を与えるため労働者派遣と判断されることがあります。写しを受け取るときは、本人の同意を得るなど個人情報の適正な扱いも求められます。
• 判断の根拠：疑義応答集 第2集 Q13（同ガイド所収）^*6
• 個別の契約の書き方や、自社の研修の進め方が偽装請負に当たらないかの判断は、弁護士や都道府県労働局など専門家・窓口に確かめてください。

個人データを任せる前の確認の全体は業務委託エンジニアの情報セキュリティで、アカウントの付与から削除までの管理は業務委託エンジニアの受け入れ時の権限管理で、偽装請負そのものの見分け方はシステム開発の偽装請負リスクと回避策で整理しています。

外部人材に頼むときに確認しておきたい点

研修の中身と頼み方は、外部のエンジニアにどんな情報とシステムを任せるかで決まります。社外秘の情報に触れない開発だけなら建物とアカウントの使い方の説明で足り、個人データに触れる作業まで任せるなら情報の扱い方の教育と記録まで要ります。相談の前に、次の点を書き出しておくと話が早く進みます。

• 範囲：任せる開発の中身と、触れる情報やシステム
• 期間：契約の期間と、研修を行う時期（参画の前か初日か）
• 体制：研修の案内を受ける受託会社側の責任者と、自社で研修を担当する人
• 費用の決まり方：研修の時間を稼働に含めるかと、会場や教材の費用の負担
• 引き継ぎ：契約の終わりに受講の記録と誓約書の写しをどう扱うか

業務委託の人材に頼むか、リモートで働く社員を採るかを比べている段階でも構いません。社員と同じ研修をどこまで受けてもらいたいかを書き出すと、どちらの形が合うかが見えてきます。

まとめ：業務委託の研修で決めておく点

業務委託の外部エンジニアに研修を受けてもらうときに決めておきたい点は3つです。第一に、研修を求める範囲を、任せる業務で扱う情報と使うシステムに合わせて契約に書くこと。第二に、研修の案内と出欠は受託会社の責任者を通し、説明は責任者の監督の下で受けてもらうこと。第三に、研修の時間を報酬に含めるかと費用の負担を契約で決め、受講の記録を保管して見直しに使うことです。

よくある質問

出典

1. *1　参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/）。出典：3-4-3（従業者の監督）、3-4-4（委託先の監督）、10-4（人的安全管理措置）を参照（確認日2026年10月28日）（2026年10月確認）
2. *2　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン 第4.0版」（PDF）（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0.pdf）。出典：第1部（2）取組6、第2部 3.（5）⑤意識向上とトレーニングを参照（確認日2026年10月28日）（2026年10月確認）
3. *3　参考：厚生労働省「労働者派遣事業と請負により行われる事業との区分に関する基準」（昭和61年労働省告示第37号）（PDF）（https://www.mhlw.go.jp/content/000780136.pdf）。出典：第2条第1号ロ・ハ、第2条第2号イを参照（確認日2026年10月28日）（2026年10月確認）
4. *4　参考：厚生労働省「37号告示に関する疑義応答集」（PDF）（https://www.mhlw.go.jp/content/001328443.pdf）。出典：Q10（請負業務において発注者が行う技術指導）を参照（確認日2026年10月28日）（2026年10月確認）
5. *5　参考：厚生労働省 事務連絡「37号告示に係る疑義応答集について」（令和3年5月13日）（PDF）（https://www.mhlw.go.jp/content/000780139.pdf）。出典：疑義応答集Q10・Q11の考え方はシステム開発を請負業務とする場合にも当てはまるとの回答を参照（確認日2026年10月28日）（2026年10月確認）
6. *6　参考：厚生労働省・都道府県労働局「労働者派遣・請負を適正に行うためのガイド」（PDF）（https://www.mhlw.go.jp/content/001704200.pdf）。出典：Q&A第2集 Q9（打ち合わせへの同席）、Q10（依頼メールのcc送付）、Q11（発注者と同等の服務規律）、Q13（誓約書の写し・職務経歴書・事前面談）を参照（確認日2026年10月28日）（2026年10月確認）
7. *7　参考：厚生労働省「37号告示に関する疑義応答集（第3集）」（PDF）（https://www.mhlw.go.jp/content/001704257.pdf）。出典：Q1（準委任契約でも実態で判断）、Q2（双方の開発担当者への事前研修）を参照（確認日2026年10月28日）（2026年10月確認）

Tweet